始终开启VPN在小米路由器上的应用

凌晨三点的链上套利，与那台永不掉线的路由器

窗外的城市早已沉入梦乡，只有远处高架上偶尔驶过的货车，拖着沉闷的胎噪划破寂静。我盯着屏幕上跳动的K线，手指在机械键盘上敲下最后一行指令——一笔跨链套利交易刚刚完成，从Polygon到Arbitrum，扣除Gas费后净赚了237美元。屏幕右下角的时间显示：凌晨3点17分。

这不是我第一次在这个时间点做交易。事实上，过去三个月里，我的作息已经完全被链上世界的节奏打乱。而支撑这一切的，除了那台嗡嗡作响的矿机改装的NAS，还有角落里那台看似不起眼的小米AX6000路由器——它正以每秒钟数百次的频率，默默转发着加密数据包，穿过一条始终开启的VPN隧道。

当路由器成为链上生活的第一道门

故事要从半年前说起。那时我刚把主要的DeFi仓位从以太坊主网迁移到Layer2，每天需要频繁与十几个DApp交互。问题很快出现了：某些前端页面在国内网络环境下加载缓慢，钱包签名请求偶尔超时，更别提那些需要实时监控链上数据的脚本——它们对网络稳定性的要求近乎苛刻。

我试过在电脑上装VPN客户端，但每次重启或切换节点都要手动操作；也试过在手机端配置代理，可一旦离开WiFi覆盖范围就断联。最崩溃的一次，是某个凌晨的清算窗口期，我的电脑VPN突然掉线，等重新连上时，一笔价值8000美元的抵押品已经被清算。

“你需要的是网络层的解决方案。”朋友在Telegram上丢来一句话，“把VPN做进路由器里，让整个局域网都走隧道。”

小米路由器上的OpenWrt改造：从玩具到工具

我的小米AX6000是两年前买的，当时只是为了家里信号覆盖好一点。它原厂系统基于OpenWrt深度定制，但锁了SSH和大部分高级功能。要让它承担“始终在线VPN网关”的角色，第一步就是刷机。

过程比想象中顺利。利用小米官方的开发版固件漏洞，我拿到了SSH权限，然后刷入了适配的OpenWrt 23.05。重启后，路由器后台变成了一个完全开放的Linux系统——这意味着我可以安装任何需要的软件包，包括WireGuard、OpenVPN，甚至Shadowsocks-libev。

但真正的挑战在于“始终开启”这四个字。普通的VPN配置在路由器重启、网络波动或节点失效时会断开，而链上交易不等人。我需要的是一个具备故障转移、自动重连和分流策略的完整方案。

搭建永不掉线的隧道：WireGuard + 策略路由

我选择了WireGuard作为主力协议。相比OpenVPN，它更轻量、更快，且对移动网络友好。在OpenWrt上安装kmod-wireguard和wireguard-tools后，我配置了三个不同地区的VPS节点：东京、新加坡和洛杉矶。

关键配置在/etc/config/network里：

config interface 'wg0' option proto 'wireguard' option privatekey '...' list addresses '10.0.0.2/24' option listenport '51820'

config wireguardwg0 option publickey '...' option endpointhost 'tokyo.example.com' option endpointport '51820' option persistent_keepalive '25'

persistent_keepalive是灵魂——它每25秒发送一个空包，保持NAT映射不被回收，这样即使运营商级NAT也不会轻易断线。

但只有一个节点不够。我写了一个简单的Shell脚本，配合cron每30秒检测一次隧道连通性：

bash

if ! ping -c 2 -W 3 10.0.0.1 > /dev/null 2>&1; then # 切换至备用节点 uci set network.wg0.endpoint_host='singapore.example.com' uci commit network /etc/init.d/network reload fi

同时，利用OpenWrt的mwan3（多WAN管理器）和ipset，我实现了基于域名的分流：所有与链上交互相关的域名（如*.infura.io、*.alchemyapi.io、*.arbitrum.io）强制走VPN，而国内视频流媒体则直连。这样既保证了交易延迟最低，又不影响家人看剧。

那个暴雨夜的考验

真正验证这套系统可靠性的，是一个月后的暴雨夜。

那天晚上，我持有的一笔GMX上的杠杆头寸接近清算线。外面雷声轰鸣，小区宽带突然断了——光猫的LOS灯变红。如果是以前，我只能用手机热点救急，但手机信号在暴雨中只有两格。

然而路由器上的WireGuard隧道并没有断。因为我早就在OpenWrt里配置了双WAN故障转移：主WAN是光纤，备用WAN是USB接口的4G网卡。当光纤断开时，mwan3在3秒内将默认路由切到了4G模块上，而WireGuard的persistent_keepalive让隧道在IP变更后迅速重建。

我通过内网穿透（也是跑在路由器上的frp客户端）远程登录了OpenWrt后台，看到隧道状态依然是connected。于是打开电脑，继续在GMX上追加了保证金。那一夜，头寸保住了，而窗外暴雨如注。

不只是VPN：路由器上的链上基础设施

随着时间推移，这台小米路由器承载的功能越来越多。我在上面跑了：

• 轻量级以太坊节点：通过erigon的--prune模式，将历史数据裁剪到最近128个区块，同步在路由器外接的SSD上。这样我的钱包可以直接查询余额，无需依赖第三方API。
• 链上监控机器人：一个Python脚本，通过WebSocket订阅 mempool，发现大额套利机会时推送到Telegram。
• IPFS网关：为NFT市场提供去中心化存储访问。

所有这些服务都共享同一条始终在线的VPN隧道。这意味着无论我在家还是在外，只要连上家里的WiFi（或者通过WireGuard客户端远程接入），就能像在本地一样访问这些服务。

当监管与技术相遇

当然，这种配置并非没有风险。始终开启的VPN意味着所有出站流量都经过加密隧道，包括那些可能被运营商监测的链上交互。在某些司法管辖区，这可能涉及合规问题。

我的应对策略是“最小化暴露”：只对必要的域名和IP段走VPN，其余流量直连；同时定期更换VPS提供商和端口，避免形成固定模式。路由器上的nftables规则精确到每个IP和端口，日志则通过syslog-ng转发到内网一台不联网的树莓派上保存。

凌晨四点的平静

现在，窗外开始泛起鱼肚白。我关掉交易界面，看了一眼路由器上那排蓝色LED灯——它们稳定地亮着，像一座微型灯塔。WireGuard隧道已经连续运行了47天，期间经历了三次宽带重拨、一次4G切换和无数次节点故障转移。

在虚拟币的世界里，人们热衷于讨论K线、叙事和代币经济学，却很少提及最底层的东西：网络。而正是这条始终开启的隧道，让我在凌晨三点的套利窗口里不会掉线，在暴雨夜的清算边缘能及时补救，在每一次链上交互中保持那几十毫秒的延迟优势。

也许明天，我会把节点升级到支持WireGuard的OpenWrt 24.03，或者尝试用eBPF加速转发。但此刻，我只想泡一杯茶，看着路由器上那行wg show的输出：

interface: wg0 public key: ... private key: (hidden) listening port: 51820

peer: ... endpoint: 203.0.113.45:51820 allowed ips: 0.0.0.0/0 latest handshake: 12 seconds ago transfer: 847.23 MiB received, 1.02 GiB sent persistent keepalive: every 25 seconds

12秒前刚刚握手。一切正常。链上世界永不眠，而我的路由器，也永远不会掉线。